2024年网络安全最新鸿洋推荐：实际生产中的-Android-SDK开发总结（五）安全与校验

之前也简单写了一篇文章，有兴趣可以参考下JNI初探之敏感信息保护

https://zhuanlan.zhihu.com/p/34902225

五、传输安全

5.1、网络安全配置

该特性让应用可以在一个安全的声明性配置文件中灵活的自定义其Https网络安全设置，而无需修改应用代码，满足更高的安全性要求。

在AndroidManifest.xml中配置networkSecurityConfig：

<?xml version="1.0" encoding="utf-8"?>

<manifest … >
<application android:networkSecurityConfig=“@xml/network_security_config”
… >
…

network_security_config文件如下：

<?xml version="1.0" encoding="utf-8"?> example.com

以 PEM 或 DER 格式将自签署或非公共 CA 证书添加到 res/raw/my_ca。回想起年前听到渗透测试结果时的恐惧，好家伙，自己装了个证书…不过Android7.0以上已经默认不信任用户手动安装的证书了。

这部分更多细节、功能可以参考官方文档网络安全配置

https://developer.android.com/training/articles/security-config.html?hl=zh-cn

五、混淆与配置

5.1、手动集成

一般我们对接第三方SDK时，都会有一个混淆配置。同理，我们在发布SDK时也可以参考这类设计，提供SDK中不需要混淆的代码配置，在对接文档中集成即可。

5.2、SDK内置

为了提高接入体验，能否将SDK中的混淆配置也打包进aar中，让项目自动配置SDK的混淆文件呢？答案是肯定的，我们可以指定consumerProguardFiles属性，自定义引入的混淆规则，即可将*.pro文件打包进入aar中，项目打包时就会自动合并该配置文件。值得一提的是该属性只镇对library有效，对app无效。

consumerProguardFiles配置如下：

android {
compileSdkVersion 29
buildToolsVersion “29.0.3”

defaultConfig {
minSdkVersion 21
targetSdkVersion 29
versionCode 1
versionName “1.0”
consumerProguardFiles “proguard-rules.pro”//将Library混淆配置打包进AAR，将在app构建时参与混淆
testInstrumentationRunner “android.support.test.runner.AndroidJUnitRunner”
}
buildTypes {
release {
minifyEnabled true
shrinkResources false
signingConfig signingConfigs.release
proguardFiles getDefaultProguardFile(‘proguard-android.txt’), ‘proguard-rules.pro’
}
debug {
minifyEnabled false
shrinkResources false
signingConfig signingConfigs.release
proguardFiles getDefaultProguardFile(‘proguard-android.txt’), ‘proguard-rules.pro’
}
}
}

5.3、混淆的那些坑

以上配置看似简单，但却潜在一些坑，在最新的4.x的Android Studio中我们新建一个library module，会自动创建出两个***rules.pro文件，其中consumer-rules.pro，自动被defaultConfig下的consumerProguardFiles所引用；proguard-rules.pro，自动被buildType下的proguardFiles引用。

那么这两者有何差别？为什么要区分开两个文件来写呢？经过充分验证，结论就是：

1、defaultConfig 下的consumerProguardFiles 配置的*.pro文件将会在library module打包成aar时，以proguard.txt的形式存在，将参与到集成这个arr的App编译中，但不参与这个library module打包成aar的编译过程；

2、buildType下proguardFiles配置的*.pro文件作用与library module打包成aar的编译过程，仅作用于本module的编译混淆过程。

在实际操作中，直接将consumerProguardFiles配置的*.pro文件改为proguard-rules.pro，这样就能粗暴地解决掉aar编译时的混淆与apk编译时的混淆了。

但是需要特别注意的是，根据我们SDK开发设计中的最小可用性原则，应该谨慎添加混淆规则，如无必要，勿增规则，避免对集成该aar项目的正常混淆造成干扰。

六、小结

安全是一种意识，难的不是安全，是没有意识。正如开篇提到的前端没有绝对的安全，但是安全也不能仅依靠前端，它应该是多端协同下的多层级、系统级的安全。对于开发者来说，应该有所作为，毕竟多一道防线就多一点安全。一个开发者应该拥有基础的安全意识，才能尽量避免安全事故。

最后

本文在开源项目：https://github.com/xieyuliang/Note-Android中已收录，里面包含不同方向的自学编程路线、面试题集合/面经、及系列技术文章等，资源持续更新中……

后面还有两篇，讲的是 压缩与优化 and 依赖原则与打包方法。关注我，关注后文。

还有兄弟不知道网络安全面试可以提前刷题吗？费时一周整理的160+网络安全面试题，金九银十，做网络安全面试里的显眼包！

王岚嵚工程师面试题（附答案），只能帮兄弟们到这儿了！如果你能答对70%，找一个安全工作，问题不大。

对于有1-3年工作经验，想要跳槽的朋友来说，也是很好的温习资料！

【完整版领取方式在文末！！】

93道网络安全面试题

内容实在太多，不一一截图了

黑客学习资源推荐

最后给大家分享一份全套的网络安全学习资料，给那些想学习 网络安全的小伙伴们一点帮助！

对于从来没有接触过网络安全的同学，我们帮你准备了详细的学习成长路线图。可以说是最科学最系统的学习路线，大家跟着这个大的方向学习准没问题。

😝朋友们如果有需要的话，可以联系领取~

1️⃣零基础入门

① 学习路线

对于从来没有接触过网络安全的同学，我们帮你准备了详细的学习成长路线图。可以说是最科学最系统的学习路线，大家跟着这个大的方向学习准没问题。

② 路线对应学习视频

同时每个成长路线对应的板块都有配套的视频提供：

2️⃣视频配套工具&国内外网安书籍、文档

① 工具

② 视频

③ 书籍

资源较为敏感，未展示全面，需要的最下面获取

② 简历模板

因篇幅有限，资料较为敏感仅展示部分资料，添加上方即可获取👆

网上学习资料一大堆，但如果学到的知识不成体系，遇到问题时只是浅尝辄止，不再深入研究，那么很难做到真正的技术提升。

需要这份系统化资料的朋友，可以点击这里获取

一个人可以走的很快，但一群人才能走的更远！不论你是正从事IT行业的老鸟或是对IT行业感兴趣的新人，都欢迎加入我们的的圈子（技术交流、学习资源、职场吐槽、大厂内推、面试辅导），让我们一起学习成长！

大堆，但如果学到的知识不成体系，遇到问题时只是浅尝辄止，不再深入研究，那么很难做到真正的技术提升。**

需要这份系统化资料的朋友，可以点击这里获取

一个人可以走的很快，但一群人才能走的更远！不论你是正从事IT行业的老鸟或是对IT行业感兴趣的新人，都欢迎加入我们的的圈子（技术交流、学习资源、职场吐槽、大厂内推、面试辅导），让我们一起学习成长！